Che cosa significa difendere un'infrastruttura critica e che differenza c'è rispetto a una rete aziendale "comune"?  

Le infrastrutture critiche presentano un livello di complessità più elevato, sia per la convergenza tecnologica dei due mondi IT e OT, sia per le dimensioni e l’estensione della rete da proteggere. I team IT, dunque, si trovano ad affrontare sfide diverse nella gestione del rischio di queste realtà, sia da un punto di vista tecnologico sia “culturale”: da un lato, è necessario garantire l’integrazione di tecnologie diverse, che si connettono in rete, e di conseguenza proteggere i sistemi a tutti i livelli.

Non solo: bisogna considerare il fatto che il perimetro della rete è sempre più difficile da definire, e che tali infrastrutture non sono entità a sé stanti, ma parte di un sistema più ampio, che coinvolge anche i fornitori. Le strategie di cyber security quindi devono essere progettate in quest’ottica, includendo l’intera supply chain. Idealmente, tutti gli stakeholder interni e tutte le terze parti coinvolte nei processi di business devono essere interessate nello sviluppo e implementazione di metodi e strumenti di cyber security.

Secondo la vostra esperienza, quali sono oggi le minacce maggiori per le infrastrutture critiche?

Gli attacchi diretti alle infrastrutture critiche sono mirati (e sofisticati): i cyber criminali hanno un obiettivo preciso, sono organizzati, hanno una strategia ben definita e sono pazienti. Anche loro sanno perfettamente che tali ambienti sono complessi e per questo motivo progettano i propri attacchi nei minimi dettagli, studiando l’organizzazione in target in maniera approfondita, provando ad accedere da diversi punti, restando anche “invisibili” all’interno della rete per un po’ di tempo, finché ritengono sia il momento giusto per compiere la mossa successiva.

Scelgono con cura il punto di ingresso, sfruttando l’anello debole nella “catena della sicurezza”: potrebbe essere, per esempio, una vulnerabilità nel software di un fornitore, password deboli, un dipendente meno esperto. Insomma, faranno uso di tutte le tecniche, tattiche e procedure a loro disposizione per penetrare nei sistemi. E ci riescono.

I vostri prodotti per quali reti sono adatti e quali azioni difensive svolgono?

Nel caso specifico delle infrastrutture critiche, data la complessità delle stesse, nonché il livello di sofisticazione delle minacce, possiamo dire che anche se non possono mancare soluzioni di protezione degli endpoint in grado di garantire la protezione dei sistemi in fase preventiva (F-Secure le fornisce sia in versione cloud sia on-premise), è fondamentale prevedere l’implementazione di soluzioni di Detection & Response. F-Secure Rapid Detection & Response rileva rapidamente le minacce reali presenti nella rete, utilizza l’analisi comportamentale e machine learning per collocare i rilevamenti in un contesto più ampio e mette in campo azioni di risposta automatiche, senza gravare sulle prestazioni delle macchine.

Inoltre, un altro aspetto imprescindibile è la gestione delle vulnerabilità: una piattaforma come F-Secure Radar effettua una scansione completa dell’intera superficie d’attacco, compreso lo shadow IT, permettendo di individuare e gestire eventuali vulnerabilità, garantendo anche la conformità alle normative attuali e future.

Che cosa servirebbe nel nostro Paese per mettere in sicurezza le infrastrutture critiche?

Riteniamo che anche in questo caso sia necessario insistere sulla sensibilizzazione verso le tematiche di sicurezza e sulla diffusione di una cultura di cyber security all’interno delle aziende. Questo argomento, infatti, non dovrebbe essere appannaggio dello staff IT dedicato, ma estendersi a livello trasversale a tutti i dipendenti e consulenti. Sarebbero necessari ulteriori investimenti per potenziare la formazione in questo ambito, poiché sappiamo che un’azienda può avere anche adottato le migliori strategie e soluzioni di sicurezza e gestione del rischio, ma le persone restano l’anello più debole. In questo senso, la situazione negli ultimi anni sicuramente è migliorata, si parla di cyber security anche sui media generalisti, ma c’è ancora molta strada da fare.